Exchange 2010 SP2 高可用性（五）配置证书

在前面的章节中我们已经了解到Exchange CAS服务器（客户端访问服务器）面向用户提供诸如IIS、SMTP、POP等服务，为了保障数据在传输过程中的安全性，在安装完成Exchange CAS服务器后，默认会为自己颁发一张证书，由于这是一张自签名证书，所以并不受客户端的信任，这也就是为什么我们在通过OWA访问邮箱时，每次都会弹出讨厌的证书警告提示，为了避免这种情况，最有效的方法就是从企业内部CA为Exchange CAS服务器申请一张多域名证书，替换掉默认的自签名证书，在本例中，有两台Exchange CAS服务器，所以要为两台Exchange CAS服务器申请证书，另外，邮箱服务器在部署完成后，同样会为自己颁发证书，但是邮箱服务器不需要直接面向用户，所以不需要申请证书。

现再首先来为第一台CAS服务器cqexcashub01申请证书，在Exchange管理控制台的左侧，选择【服务器配置】，在右侧面板中选择cqexcashub01服务器，单击右键，选择【新建Exchange证书】

指定证书的友好名称，这里输入一个比较容易分辨的名称

这步不启用通配符证书

这里向导为我们想到了一些证书应用场景，这些场景都会用到哪些域名，根据自己的环境进行勾选，当然你也可以不用勾选，因为在后面的步骤可以自定义添加域名

这步就可以自定义添加域名，这些域名将作为证书的使用者备用名称，总之记住，客户端提交什么域名，这里就要添加什么域名，一定要匹配

比如我会以mail.excontoso.tk访问OWA，那么这里就要添加mail.excontoso.tk这个域名，Outlook自动发现会用到autodiscover.excontoso.tk这个域名，所以也是必须要添加的，另外两台CAS服务器的计算机名也要添加到其中，不然Outlook在以Anywhere方式访问服务器时，会出现在身份验证时反复弹验证框的情况

这里根据自己公司情况填写信息，然后指定证书请求文件的保存路径，这里我保存到D:\Exchange CAS.req中

单击【新建】后，向导将我们开始配置的那些参数写入到D:\Exchange CAS.req文件中

完成后，用记事本打开D:\Exchange CAS.req，复制文件中的全部内容

用管理员账户登录内部证书服务器Web注册站点，选择【申请证书】

选择【高级证书申请】

选择【使用Base64编码提交证书申请】

将复制的内容粘贴到申请框中，证书模板选择【Web服务器】，然后单击【提交】

我们看到CA已经将证书颁发出来了，单击【下载证书】

将证书保存到D:\Exchange CAS.cer中

回到Exchange管理控制台中，右键单击搁置的证书Exchange CAS，选择【完成搁置请求】

选择我们刚刚申请好的证书，这里定位到D:\Exchange CAS.cer，单击【完成】

单击【完成】，那么第一台CAS服务器的证书也就申请完成了，对于第二台CAS服务器来说，我们不需要再次经历繁琐的申请过程，只需要从第一台CAS服务器cqexcashub01中导出，然后再导入到第二台CAS服务器cqexcashub02中即可，是不是轻松了很多

选择cqexcashub01，在证书Exchange CAS上单击右键，选择【导出Exchange证书】

指定导出路径和密码，导出包含私钥的证书

导出成功后单击【完成】

然后在cqexcashub02上单击右键，选择【导入Exchange证书】

指定导入路径和密码

这里可以指定证书需要导入到哪些服务器中，这里是cqexcashub02

单击【导入】，开始将证书导入到第二台CAS服务器cqexcashub02中

导入成功后，单击【完成】，那么到现再，我们两台CAS服务器都拥有了一张同样的证书

证书是申请完成了，但是现再并没有应用到服务中去，也就是说所有的服务还是在使用Exchange原有的自签名证书，下面我们就来将新申请的证书与服务进行关联

在证书Exchange CAS上单击右键，选择【将服务分配给证书】

将两台拥有证书的CAS服务器都添加进来

将证书应用到IIS、POP、SMTP、IMAP服务，这些都是本环境中用到的服务

单击【分配】

在证书分配过程中，会连续出现两次对框话，询问是否替换默认的自签名证书，都选择【是】

单击【完成】，现再我们的新申请的证书Exchange CAS已经成功替换掉了默认的自签名证书

最后，在两台CAS服务器上将默认的自签名证书删除，那么证书的配置工作就全部结束了